Polymarket ha añadido una nueva opción que solo permite a los operadores enviar retiros a billeteras aprobadas previamente.
La función llega unas dos semanas después de que un script pirateado sustrajera alrededor de 2,7 millones de dólares de las cuentas de los usuarios.
¿Qué hace el nuevo bloqueo de retiros de Polymarket?
Josh Stevens, vicepresidente de ingeniería de Polymarket, anunció el lunes que Polymarket añadiría una nueva función que solo permitirá a los operadores enviar retiros a billeteras aprobadas previamente. El anuncio se publicó en X desde la cuenta @devjoshstevens.
Añadir una nueva dirección de billetera a una cuenta de usuario solo requiere dos pasos. El operador debe confirmar la solicitud por correo electrónico y luego esperar 48 horas. Si el operador no inició la solicitud, puede cancelarla directamente desde ese correo.
Con esta medida, los atacantes ya no podrán enviar dinero a una nueva billetera sin pasar la verificación por correo electrónico y esperar los dos días requeridos. Stevens dijo que el objetivo es asegurarse de que los atacantes no puedan enviar dinero a ninguna dirección que el usuario no controle.
Sin embargo, el bloqueo no soluciona el problema de fondo de la brecha que sufrió Polymarket hace apenas dos semanas. Ese ataque permitió sustraer unos 2,7 millones de dólares de las cuentas de los usuarios. Se llevó a cabo mediante un script de terceros que se ejecutaba dentro del sitio de Polymarket y tenía acceso a sesiones activas.
Polymarket afrontó este tipo de problema a principios de este año, en junio, cuando sufrió un ataque mediante el script de un proveedor que provocó el vaciado de unas 3 millones de dólares de al menos 11 billeteras, según informes anteriores de Cryptopolitan. Una brecha ocurrida en diciembre de 2025 en un proveedor de autenticación también afectó a cuentas de usuarios.
En cada uno de estos casos intervino un proveedor externo, pero nada los vincula con un mismo atacante.
¿Cómo ocurrió el ataque a Polymarket y qué viene después?
El 29 de octubre, Polymarket pausó las operaciones en su plataforma internacional después de que unos atacantes tomaran el control de un script de DebugBear, una empresa británica que supervisa la velocidad de los sitios web. El script fue reemplazado por código diseñado para vaciar billeteras.
Investigadores de Hudson Rock descubrieron que el código comprobaba si un visitante había iniciado sesión en Polymarket. Luego leía sus saldos y posiciones abiertas. Por último, usaba las herramientas de negociación del propio sitio para vender posiciones y enviar el dinero a la billetera de un atacante.
Hudson Rock también descubrió que el código del sitio de Polymarket registró la eliminación del script. Polymarket dijo que remitió el caso a las fuerzas del orden.
Bitquery informó que los atacantes sustrajeron 2,73 millones de dólares de 737 cuentas en aproximadamente una hora, entre las 17:10 y las 18:10 UTC. Realizaron 985 retiros, todos con una autorización válida. Por lo tanto, los contratos inteligentes los consideraron acciones legítimas de los usuarios.
Una cuenta perdió 358.369 dólares en un solo retiro, mientras que 276 cuentas perdieron menos de 100 dólares cada una. También se sustrajeron las participaciones de otros 33 usuarios en mercados de predicción.
Polymarket dijo que compensará íntegramente a todos sus usuarios, pero primero reembolsará a quienes perdieron menos de 10.000 dólares.
Binance y Polymarket también han pedido a los validadores de Polygon que aprueben una bifurcación dura. Una bifurcación dura es un cambio en el software de la red que todos los validadores deben adoptar. Esta trasladaría unos 70,49 millones de tokens POL congelados, valorados en aproximadamente 6,5 millones de dólares, fuera de las billeteras de los atacantes. La propuesta se publicó el 4 de noviembre y se presentó en una llamada de gobernanza de Polygon el 5 de noviembre. La votación y la fecha aún están pendientes.
Otras empresas también están reforzando la seguridad. El martes, según se informó, la firma de seguridad CertiK afirmó, tras el ataque de 6.300 millones de dólares a Binance, que los exchanges deberían establecer límites estrictos en dólares para la cantidad que mantienen en billeteras calientes, en lugar de depender únicamente de las proporciones de almacenamiento en frío.
Si estás leyendo esto, ya vas un paso por delante. Mantente así con nuestro boletín.